OpenVPN atau IKEv2: empat pemeriksaan sebelum memilih protokol

Pilihan antara OpenVPN dan IKEv2 biasanya diperdebatkan sebagai pertanyaan protokol, dan kerangka itu membuang keputusan. Yang menentukan adalah apakah server dan perangkat Anda mendukung profil lengkap yang sama, dan apakah profil itu bertahan terhadap cara Anda berpindah antarjaringan. Kedua tumpukan tidak saling menerjemahkan: berkas OVPN bukan profil IKEv2 dengan sintaksis lain. Empat pemeriksaan, dijalankan berurutan, menjawab pertanyaan itu lebih cepat daripada tabel fitur mana pun.

Klien yang tidak ada mengakhiri perdebatan

Windows dan macOS menyertakan klien IKEv2, jadi profil IKEv2 tidak menambah biaya untuk diterapkan di sana dan mewarisi opsi penyediaan yang sudah disediakan sistem operasi. OpenVPN di mesin yang sama berarti klien pihak ketiga untuk dipasang, diperbarui, dan didukung, dan klien itu harus menerima setiap opsi yang dipakai profil. Hitung platform yang harus Anda cakup sebelum membandingkan hal lain, karena platform tanpa klien yang berfungsi sama sekali bukan titik perbandingan.

Di Windows, satu perintah mendaftar profil yang sudah ada dan menunjukkan jenis masing-masing. Nama yang dicetaknya adalah nama yang dipakai pemeriksaan berikutnya.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Permintaan memasang klien adalah jawaban sebenarnya untuk kolom OpenVPN di platform tersebut, dan itu tugas penerapan, bukan batasan protokol. Tidak ada susunan yang menghapus pemeriksaan kepercayaan, verifikasi identitas, atau pemeliharaan. Tanyakan bagaimana profil didistribusikan, bagaimana kredensial diperbarui, dan bagaimana perangkat yang hilang dicabut sebelum Anda berkomitmen. Pemasangan yang sederhana masih bisa menyembunyikan prosedur pemulihan yang tidak ingin dijalankan siapa pun pada akhir pekan.

Mobilitas adalah pengaturan bersama, bukan janji protokol

IKEv2 dapat memakai MOBIKE bila kedua ujung mendukung dan mengaktifkannya, yang memungkinkan klien mempertahankan terowongannya saat alamatnya berubah. RFC 4555 mendefinisikan ekstensi itu, dan kata bersyaratnya penting: server yang mengabaikan kemampuan itu justru bernegosiasi ulang. Hasilnya bisa tampak sama untuk transfer berkas dan sangat berbeda untuk panggilan langsung.

Uji peralihan yang benar-benar Anda pedulikan, dengan sesuatu yang berjalan dan bisa Anda amati. Biarkan ping -t <internal-host> berjalan di Windows, atau ping biasa di tempat lain, lalu beralih dari Wi-Fi ke seluler dan amati jedanya. Kegagalan MOBIKE tampil sebagai autentikasi ulang penuh di log klien, bukan pembaruan alamat yang senyap. Yang Anda ukur adalah apakah terowongan bertahan terhadap perubahan, bukan apakah protokol mengiklankan dukungan.

Klien OpenVPN menyambung ulang menurut perilaku platformnya dan pewaktu profil, jadi uji yang sama bisa menghasilkan bentuk gangguan berbeda. Bandingkan peristiwa yang penting bagi pengguna Anda, bukan label pada protokol.

Kredensial milik layanan, bukan tumpukan

Sertifikat dan pengaturan masuk lainnya milik layanan yang mengakhiri koneksi. Permintaan kata sandi di satu klien tidak mengatakan apa pun tentang kompatibilitas dengan klien lain, dan profil yang berfungsi terhadap gateway lain tidak mengatakan apa pun tentang gateway ini. Pertahankan aturan identitas server saat membandingkan kedua tumpukan. Mengganti protokol sebelum mengidentifikasi kegagalan biasanya menghasilkan profil kedua yang tidak kompatibel.

Periksa kredensial yang akan disajikan klien sebelum menyalahkan salah satu protokol, karena sertifikat yang kedaluwarsa atau salah terbit gagal dengan cara yang sama pada keduanya. Keluaran di bawah menampilkan subjek, penerbit, dan tanggal berlaku tanpa membaca kunci privat.

openssl x509 -in client.crt -noout -subject -issuer -dates

Untuk koneksi perusahaan, gunakan metode yang diterbitkan perusahaan dan berhenti memperlakukan perbandingan sebagai eksperimen. Jika Anda membandingkan keduanya sendiri, periksa dulu apakah kedua opsi berakhir di satu gateway, karena satu detail itu menentukan seberapa banyak hasil Anda tentang protokol. Penolakan yang menyebut kredensial adalah masalah kredensial, dan berapa pun protokol diganti tidak akan memperbaikinya.

Periksa apa yang sebenarnya dirutekan terowongan

Setelah tersambung, pastikan rute yang Anda butuhkan ada dan nama terurai. Profil yang ada untuk sumber daya internal mungkin sengaja membiarkan penjelajahan biasa di jalur lokal, dan itu keputusan kebijakan, bukan kesalahan. Yang penting adalah apakah tujuan yang dipakai tim Anda dapat dijangkau melalui terowongan.

Dua perintah mencakup rute dan pencarian nama di Windows. Padanan Linux-nya adalah ip route show default dan resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Terowongan yang aktif tetapi tidak merutekan apa pun yang berguna adalah hasil umum ketika profil disalin antar layanan, dan uji konektivitas umum tidak akan menunjukkannya karena antarmuka aktif. Uji sumber daya yang pertama dibuka pengguna Anda, bukan alamat publik yang bisa dicapai jalur mana pun. Jika nama terurai ke alamat publik sementara rute menunjuk ke dalam terowongan, jawaban DNS dan rute itu milik keputusan berbeda dan keduanya perlu diperbaiki.

Timbang pemeliharaan setelah pemeriksaan

Tidak ada protokol yang lebih mudah dipelihara secara abstrak. Pemeliharaan bergantung pada siapa yang mengoperasikan gateway, bagaimana profil sampai ke perangkat, dan seberapa cepat perangkat yang hilang kehilangan akses. Klien endpoint yang sederhana bisa berada di depan server yang lebih sulit dijalankan, dan sebaliknya juga terjadi. Tanyakan mana dari keduanya yang bisa terus dijalankan tim Anda setelah orang yang membangunnya pergi.

Pilih koneksi yang didukung yang mencakup pekerjaannya, lalu uji terhadap akses yang benar-benar Anda butuhkan, bukan terhadap daftar fitur. Catat gateway tempat setiap opsi berakhir, karena dua gateway berbeda membuat perbandingan sama-sama soal rute dan soal protokol. Ulangi keempat pemeriksaan pada perangkat yang benar-benar akan Anda bawa, dan pertahankan profil yang lolos di perangkat itu.